Códigos QR y URL maliciosas

Con los códigos QR, el enlace es el riesgo. Un código es solo una forma de transportar una dirección web, así que toda la cuestión de la seguridad se reduce a inspeccionar esa dirección antes de abrirla — detectar dominios que imitan a otros, acortadores ocultos y redirecciones tramposas. Aquí te enseñamos a leer un enlace como un profesional. 🐾

Todo hábito de escaneo seguro descansa en última instancia sobre una habilidad: juzgar una URL. Cuando puedes echar un vistazo a una dirección web e intuir si pertenece a quien dice pertenecer, los códigos QR maliciosos pierden casi todo su poder. El código nunca fue la amenaza; es una envoltura alrededor de un enlace, y el enlace es lo que necesitas leer. Construyamos esa habilidad en lenguaje sencillo.

Por qué la URL es toda la historia

Un código QR que contiene una dirección web no hace nada más que entregar esa dirección a tu teléfono y ofrecer abrirla. No puede disfrazar el destino una vez decodificado — el enlace real está justo ahí para ser leído. Eso es un regalo, porque significa que siempre tienes la oportunidad de atrapar un código malo: previsualiza el enlace, lee el dominio y decide. La trampa es que los delincuentes se esfuerzan mucho por hacer que los enlaces peligrosos parezcan de confianza. Para el contexto más amplio, consulta ¿puede un código QR hackear tu teléfono?

¿Cómo leo una URL correctamente?

La parte más importante de cualquier dirección web es el dominio — y en concreto la parte justo antes de la primera barra individual. Considera:

https://accounts.google.com.verify-login.xyz/reset

A primera vista parece que involucra a Google. Pero lee con atención: el dominio real es verify-login.xyz. Todo lo que hay antes (accounts.google.com.) es solo un subdominio que el atacante eligió para engañarte. La regla: encuentra las dos últimas etiquetas antes de la primera barra — ese es el dominio verdadero. Todo lo que hay a su izquierda puede falsificarse libremente.

¿Qué trucos hacen que los enlaces maliciosos parezcan legítimos?

Dominios que imitan a otros

Los atacantes registran dominios que se parecen a una marca real:

• Cambios de caracteres — paypa1.com (un "1" por una "l"), rnicrosoft.com ("rn" por "m").
• Palabras añadidas — apple-support-verify.com, amazon-secure-login.net.
• Terminaciones incorrectas — la marca real pero con un .top, .xyz o una terminación de país inesperada en lugar de la genuina.
• Homoglifos — letras de otros alfabetos que se ven idénticas a las latinas.

Acortadores de URL

Un enlace acortado (como bit.ly/abc123) oculta por completo el destino real. Los acortadores tienen usos legítimos, pero en un código QR son una señal de advertencia, porque te quitan la capacidad de leer el dominio. Si un código escaneado resuelve en un acortador desnudo, trátalo con cautela hasta que puedas ver adónde va de verdad. Esto se solapa con la forma en que los códigos QR dinámicos enrutan cada escaneo a través de una redirección cuyo interior no puedes ver.

Cadenas de redirección

Algunos enlaces te hacen pasar por varios saltos antes de aterrizar en la página final. Un servicio de rastreo o redirección puede apuntar hoy a algún sitio inofensivo y mañana a uno hostil, todo detrás del mismo código impreso. Esta capacidad de cambio silencioso es parte de por qué las redirecciones inesperadas merecen escrutinio; tocamos la mecánica en redirecciones y rastreo de códigos QR.

Una referencia rápida para juzgar un enlace escaneado

Lo que ves	Veredicto
El dominio exacto y familiar de la marca	Tranquilizador
Nombre de la marca enterrado en un subdominio de otro sitio	Sospechoso — lee el dominio verdadero
Ligera falta de ortografía o palabras extra con guiones	Probablemente una imitación
Un acortador de URL desnudo	Destino desconocido — ten cautela
Terminación de dominio inusual o que no cuadra	Verifica antes de confiar
El enlace quiere descargar un archivo	Máxima cautela — nunca instales desde un código cualquiera

¿Cómo inspecciono un enlace antes de tocarlo?

El flujo de trabajo práctico es corto:

1. Previsualiza, no abras. La mayoría de las cámaras de teléfono muestran la dirección decodificada antes de cargarla. Un escáner que te permita escanear un código de forma segura pone primero el destino real ante ti, para que puedas leerlo con calma.
2. Encuentra el dominio verdadero. Localiza la parte justo antes de la primera barra individual y compárala con la organización que esperas.
3. Desconfía de los acortadores y las terminaciones extrañas. Si no puedes ver el destino real, no supongas que es seguro.
4. Nunca introduzcas secretos en un enlace del que no estés seguro. Las contraseñas y los datos de pago solo deberían ir en sitios a los que navegaste tú mismo.

¿Y si no logro saber si un enlace es seguro?

Ante la duda, no pases por el código en absoluto. Abre la app oficial o escribe en tu navegador la dirección que ya conoces. Para un banco, un servicio de paquetería o tu empleador, ir directo siempre es más seguro que confiar en un enlace que te entrega un código — especialmente uno inesperado. Este es el mismo principio que hay detrás de evitar los códigos QR en correos de phishing y los códigos falsos de parquímetros.

Nunca pierdes nada por llegar a un sitio de la forma que ya conoces. El código es un atajo, y los atajos son exactamente donde se colocan las trampas.

Construir el hábito

Leer URL parece engorroso al principio y se vuelve automático rápido. Tras una semana echando un vistazo al dominio antes de abrir cualquier cosa, detectarás una imitación en una fracción de segundo — igual que notarías un cartel mal escrito. Combina esto con nuestra completa lista de comprobación de seguridad de códigos QR y habrás cubierto la gran mayoría de los riesgos de los QR. Y cuando crees códigos tú mismo, puedes crear un código QR gratis que codifique directamente tu enlace real, para que quienes lo escaneen puedan leer exactamente adónde va.

Preguntas frecuentes

¿Cómo encuentro el dominio real en una dirección web?

Mira la parte inmediatamente anterior a la primera barra individual, luego toma las dos últimas etiquetas de esa sección. En login.example.com el dominio real es example.com. Cualquier cosa a la izquierda, como nombres de marca extra, puede falsificarse, así que lee de derecha a izquierda.

¿Son siempre malos los acortadores de URL en los códigos QR?

No siempre — tienen usos legítimos — pero ocultan el destino real, lo que elimina tu capacidad de juzgarlo. En un código QR, especialmente uno inesperado, un acortador desnudo es motivo para tener cautela hasta que puedas confirmar adónde lleva de verdad.

¿Qué es un dominio que imita a otro?

Es una dirección web diseñada para parecerse a una marca de confianza, usando cambios de caracteres, palabras extra o terminaciones inusuales — como paypa1.com o apple-verify-login.net. El objetivo es que la dirección de una página de phishing pase un vistazo rápido.

¿Puede cambiar el enlace de un código QR después de imprimirse?

Si el código contiene una redirección o un acortador en lugar de un enlace directo, entonces sí — quien controle esa redirección puede cambiar el destino final de forma silenciosa. Un código estático con el enlace real incrustado no puede cambiar, lo cual es una razón para preferirlos.

¿Qué es lo más seguro que se puede hacer con un enlace sospechoso?

No lo abras. Si necesitas llegar al servicio, usa su app oficial o escribe en tu navegador el sitio web que ya conoces. Nunca introduzcas contraseñas ni datos de pago en una página a la que llegaste desde un enlace escaneado que no pudiste verificar.